PHP2Shell: duas vulnerabilidades críticas permitem execução de código não autenticada

Pesquisadores da OX Security analisaram duas vulnerabilidades críticas CVE-2026-109618 e CVE-2026-109619, coletivamente conhecidas como PHP2Shell. Ambos os problemas decorrem de gerenciamento inadequado de memória no núcleo do PHP e podem levar à execução remota de código sem autenticação. As vulnerabilidades são notáveis porque afetam o próprio interpretador PHP, e não aplicações web individuais ou plataformas CMS.

A exploração usa o session.upload_progress, que rastreia uploads de arquivos e processa dados de requisições HTTP antes do início do script PHP. Um atacante envia uma requisição POST multipart/form-data especialmente criada que dispara erros de gerenciamento de memória. No caso de CVE-2026-109618, o esgotamento de memória faz o processamento da requisição terminar de forma anormal, seguido pelo acesso a dados inicializados incorretamente. CVE-2026-109619 envolve a retenção de ponteiros para memória que já foi liberada e pode ser reutilizada durante o processamento de requisições subsequentes. Ambos os erros criam condições para corrupção de memória e possível sequestro de fluxo de controle.

A exploração bem-sucedida permite que um atacante execute código arbitrário no servidor web sem uma conta, obtenha acesso a arquivos de configuração, credenciais de aplicações e outros recursos disponíveis ao processo PHP. Isso cria o risco de comprometer sites que executam WordPress, Drupal, Magento e outras aplicações PHP, independentemente de seu próprio código conter vulnerabilidades.

Artigo: https://www.ox.security/blog/cve-2026-109618-cve-2026-109619-two-vulnerabilities-allow-unauthenticated-rce-in-php/